Python SSPI库

此库提供Python函数，用于封装Windows SSPI API。它旨在提供高、低级接口，以便其他库可以轻松利用以使用SSPI集成。高级接口位于sspi命名空间下，而低级接口位于sspi.raw接口下。

需求

• Python 3.8+

需要更多需求来从头开始编译代码，但此库作为wheel提供，因此安装不是强制性的。

安装

只需运行

pip install sspi

要从源安装，请运行以下命令

git clone https://github.com/jborean93/pysspi.git
python -m pip install build
python -m build
pip install dist/sspi-*.whl

开发

要运行测试或对此存储库进行更改，请运行以下命令：

git clone https://github.com/jborean93/pysspi.git
pip install -r requirements-dev.txt
pre-commit install

python -m pip install -e .

# Can compile the sspi extensions on an adhoc basis
# python setup.py build_ext --inplace

从那里，可以使用类似 VSCode 的编辑器进行更改和运行测试套件。更改后重新编译 Cython 文件，请运行 build_ext --inplace 命令。

如果在 Linux 或 macOS 上构建，必须使用 Rust 编译 libsspi 的一个版本，该版本来自 sspi-rs。在编译时必须存在与头文件一起的 libicuuc 的副本。要编译 sspi-rs，下载 Git 存储库并运行以下命令。

cargo build \
    --package sspi-ffi \
    --release

export LD_LIBRARY_PATH="${PWD}/target/release"
export LIBRARY_PATH="${PWD}/target/release"

结构

此库仅是 SSPI API 的包装器。位于 sspi 命名空间下的函数以更 Pythonic 的 snake_case 格式公开了各种 SSPI 函数。例如，AcquireCredentialsHandle 函数公开为 sspi.acquire_credentials_handle。

错误以 WindowsError 的形式引发，其中包含 Windows 格式的错误消息和错误代码。对于非 Windows 主机，有一个兼容的 sspi.WindowsError 类，其结构类似于仅 Windows 的 WindowsError 内置类。一些对象和常量作为 Python 类/dataclasses/enums 公开，以便于使用。请阅读将使用的函数的 docstring，以了解更多有关如何使用它们的信息。

客户端身份验证示例

以下是如何使用此库进行客户端身份验证的基本示例

import sspi

cred = sspi.UserCredential(
    "username@DOMAIN.COM",
    "password",
)

ctx = sspi.ClientSecurityContext(
    "host/server.domain.com",
    credential=cred,
)

in_token = None
while not ctx.complete:
    out_token = ctx.step(in_token)
    if not out_token:
        break

    # exchange_with_server() is a function that sends the out_token to the
    # server we are authenticating with. How this works depends on the app
    # protocol being used, e.g. HTTP, sockets, LDAP, etc.
    in_token = exchange_with_server(out_token)

# Once authenticated we can wrap messages when talking to the server. The final
# message being sent is dependent on the application protocol
secret = b"secret data"

wrapped_secret = ctx.wrap(secret)
server_enc_resp = exchange_with_server(wrapped_secret)
server_resp = ctx.unwrap(server_enc_resp).data

UserCredential 支持更多选项，例如选择使用的身份验证协议。需要目标服务器的服务主体名称 (SPN) 和可选凭证的 ClientSecurityContext。可以根据需要使用其他选项来控制请求的上下文属性、通道绑定等。令牌和封装数据的发送方式取决于底层协议，此示例仅显示交换数据的时间。

非 Windows 支持

虽然 SSPI 是仅限 Windows 的 API，但此包附带与 manylinux2014_x86_64、macosx_x86_64 和 macosx_arm64 兼容的 wheel，使用 sspi-rs。由于所有身份验证逻辑都包含在该外部 API 中，因此对此的支持是实验性的。与 Windows 上的 SSPI 的接口完全相同，因此理论上可以使用相同的代码。换句话说，与 SSPI 实际的兼容性不是 100%，因此请自行承担风险。

建议在非 Windows 平台上使用像 python-gssapi 这样的 GSSAPI 包装库。除了 x86_64 以外，Linux 上没有对其他架构的支持，因为 sspi-rs 仅支持 glibc，因此无法与基于 musl 的发行版（如 Alpine）一起使用。